漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-068583
漏洞标题：上大学网某处存储型xss
相关厂商：sdaxue.com
漏洞作者： 阿萨帝
提交时间：2014-08-07 17:14
修复时间：2014-08-07 17:26
公开时间：2014-08-07 17:26
漏洞类型：xss跨站脚本攻击
危害等级：低
自评Rank：5
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-08-07： 细节已通知厂商并且等待厂商处理中
2014-08-07： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
上大学网某处设计缺陷
详细说明：
看新闻说上大学网发布了《第三批中国虚假大学警示榜》，就进去看了，发现在一处在个人简介有xss，他人查看该用户或者自己都可以。
1、登陆后修改个人简介
2、保存后弹窗
3、他人查看的效果
4、或者插入其他代码循环弹
漏洞证明：
3、他人查看的效果
4、或者插入其他代码循环弹
修复方案：
过滤
版权声明：转载请注明来源 阿萨帝@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2014-08-07 17:26
厂商回复：
这个漏洞实测并不存在,输入简介的textarea文本框在提交到后端时均过滤了任何html标签,alert,img之类的内容根本上不去,这个基本的防范在网站设计之初就考虑了,不知道漏洞发现者是怎么能实现这个漏洞并且还能截图的,表示很奇怪~
最新状态：
2014-08-08：我们xss过滤的不彻底啊,这个xss漏洞很常见,稍微不注意就能揪出几处,感谢洞主做出的努力,修复不是偷偷的,是光明正大修复的,没过滤彻底是我们的失误,洞主莫见怪~